An einem Montagmorgen kommt Sophie B. in die Treuhandkanzlei, und die Buchhaltungssoftware lässt sich nicht öffnen. Die Löhne eines Kunden müssen am Nachmittag raus, ein anderer wartet auf seine Mehrwertsteuerabrechnung. In dieser Wartestunde formuliert sie zum ersten Mal etwas Offensichtliches: Die gesamte Kanzlei hängt an einer Handvoll Werkzeuge, die funktionieren müssen — und am Vertrauen von Kunden, die ihr ihre sensibelsten Zahlen anvertrauen.
An jenem Morgen war es nur ein misslungenes Update. Doch die Frage, die bleibt, ist die richtige: Was passiert für ein kleines Unternehmen an dem Tag, an dem die Werkzeuge nicht mehr reagieren? Bei Cybersicherheit geht es nicht in erster Linie um Technik. Es geht um Geschäftskontinuität und Vertrauen. Und anders als oft angenommen, ist das ein Thema, das man in kleinen Schritten angeht.
Cybersicherheit ist zuerst eine Frage der Geschäftskontinuität
Sprechen wir Klartext. Geschäftskontinuität ist einfach Ihre Fähigkeit, weiterzuarbeiten — oder rasch wieder anzulaufen —, wenn etwas ausfällt: eine Panne, eine Sperrung, ein menschlicher Fehler, ein Sicherheitsvorfall. Das ist kein Informatik-Begriff. Es beantwortet eine sehr konkrete Frage: «Wenn dieses Werkzeug morgen früh stehen bleibt, kann ich meine Kunden heute Nachmittag trotzdem bedienen?»
Für eine Treuhandkanzlei ist die Antwort entscheidend, denn die Kanzlei verkauft kein Produkt, das man später neu herstellen kann. Sie verkauft zwei Dinge: Zuverlässigkeit und Vertraulichkeit. Ein Kunde übergibt Ihnen seine Löhne, seine Konten, seine Steuerdaten, weil er darauf vertraut, dass Sie pünktlich liefern und dass seine Zahlen nicht in falsche Hände geraten. An dem Tag, an dem ein System blockiert — oder schlimmer, Daten abfliessen —, ist das nicht bloss ein technisches Ärgernis: Es ist das dem Kunden gegebene Versprechen, das Risse bekommt.
Was oft übersehen wird: Die meisten Unterbrüche sind nichts Dramatisches. Es muss kein Angriff wie im Kino sein. Es ist ein Arbeitsplatz, der von Schadsoftware verschlüsselt wurde (sogenannte Ransomware — ein Programm, das Ihre Dateien sperrt und ein Lösegeld fordert), ein Postfach, in das man eindrang, weil ein Passwort herumlag, ein Backup, das alle für gut hielten und das sich dann nicht wiederherstellen lässt. Mit anderen Worten: gewöhnliche Situationen, die nur dann ernst werden, wenn einige einfache Gewohnheiten nicht eingeführt wurden.
Viele KMU-Verantwortliche gehen davon aus, dass «die Informatik der Dienstleister erledigt». Dienstleister leisten oft gute Arbeit an dem, worum man sie bittet — aber sie handeln auf Anfrage; sie sind nicht dazu da, an Ihrer Stelle zu entscheiden, was für Ihr Geschäft zählt. Die Kontinuität bleibt eine Chefsache: Sie wissen, dass die Lohnzahlung am 25. nicht warten kann.
Es gibt eine zweite, leisere, aber ebenso entscheidende Dimension: das Vertrauen. Ein Kunde, der erfährt, dass seine Kanzlei drei Tage lang keinen Zugriff auf ihre Unterlagen hatte, merkt sich nicht die technische Ursache — er merkt sich, dass er sich nicht auf Sie verlassen konnte. Und ein Kunde, der an der Sicherheit seiner Daten zweifelt, sagt es nicht immer: Er geht bei der Erneuerung, ganz leise. Umgekehrt beruhigt und hebt sich ein kleines Unternehmen ab, das gelassen auf die Frage «Was passiert, wenn ein Vorfall eintritt?» antworten kann. So gesehen ist Cybersicherheit kein defensiver Kostenpunkt: Sie ist ein Zeichen von Seriosität.
Was Sie sich merken sollten
Drei Gedanken genügen, um den Blick auf das Thema zu ändern.
Cyber ist kein IT-Thema, sondern ein Thema von Kontinuität und Vertrauen. Die eigentliche Frage lautet nicht «Bin ich technologisch auf dem neuesten Stand?», sondern «Hält mein Geschäft stand, wenn ein Werkzeug ausfällt, und können meine Kunden mir weiter vertrauen?». So formuliert wird das Thema wieder Ihres, nicht das eines Spezialisten.
Die meisten Risiken schrumpfen mit einfachen Gewohnheiten. Man denkt an grosse Budgets und schwere Projekte. In der Praxis sind die Massnahmen, die ein kleines Unternehmen am besten schützen, günstig und vor allem eine Frage der Gewohnheit: wissen, wovon Ihre Tätigkeit abhängt, Ihre Zugänge schützen, Ihre Backups prüfen. Das ist machbar, und man muss dafür kein Informatiker sein.
In der Schweiz erwartet das Gesetz Angemessenes, nicht Perfektes. Das revDSG — das revidierte Schweizer Datenschutzgesetz, in Kraft seit September 2023 — verlangt von jeder Organisation, die Personendaten hält, «angemessene» Sicherheitsmassnahmen. Das Wort zählt: angemessen zu Ihrer Grösse und Ihren Mitteln. Niemand erwartet von einer kleinen Kanzlei das Dispositiv einer Bank. Erwartet werden solide Grundlagen und bewusste Entscheidungen.
Gewohnheiten, die Sie diese Woche einführen
Hier der Start, ohne besonderes Budget und ohne technisches Können. Drei Gewohnheiten, machbar in wenigen Stunden über die Woche verteilt.
1. Wissen, wovon Ihr Geschäft abhängt
Nehmen Sie ein Blatt Papier und listen Sie auf, ohne was die Kanzlei stillsteht: die Buchhaltungssoftware, die Mail, der Zugriff auf die Kundendossiers, das Lohnsystem. Notieren Sie zu jedem zwei Dinge: wo die Daten liegen (auf einem Schweizer Server? bei einem Anbieter? auf einem Arbeitsplatz?) und wen man anruft, wenn es ausfällt. Diese Liste passt auf eine Seite. Am Tag eines Vorfalls ist sie Gold wert, denn sie verwandelt Panik in eine Folge bekannter Schritte. Sie ist auch die Grundlage für alles Weitere: Man schützt nur gut, was man zuerst sichtbar gemacht hat.
2. Ihre Zugänge mit Zwei-Faktor-Authentifizierung schützen
Die Zwei-Faktor-Authentifizierung (oft MFA genannt) verlangt zusätzlich zum Passwort einen zweiten Nachweis — meist einen Code oder eine Bestätigung auf Ihrem Telefon. Konkret bleibt die Tür verschlossen, selbst wenn ein Passwort erraten oder gestohlen wird. Aktivieren Sie sie zuerst für Ihre Mail und Ihre Fachsoftware, wo Kundendaten fliessen. Die meisten Profidienste wie Microsoft 365 bieten sie ohne Mehrkosten: eine Frage der Einstellung, keine Investition. Fragen Sie diese Woche Ihren Dienstleister und machen Sie es zur Regel für alle, Partner eingeschlossen.
3. Prüfen, ob Sie wirklich wieder anlaufen könnten
«Wir haben Backups» ist ein beruhigender Satz — und zu wenig. Ein Backup ist nur etwas wert, wenn es sich wiederherstellen lässt. Die konkrete Gewohnheit: Lassen Sie eine echte Wiederherstellung testen, das heisst, eine aktuelle Datei wird tatsächlich aus dem Backup zurückgeholt, um zu prüfen, dass sie zurückkommt und vollständig ist. Notieren Sie das Datum des Tests. Wenn Ihnen niemand sagen kann, wann die letzte Wiederherstellung versucht wurde, haben Sie soeben Ihre wichtigste Schwachstelle erkannt — und die am einfachsten zu behebende.
Wo stehen Sie wirklich?
Diese drei Gewohnheiten bringen Sie in Bewegung, doch sie beantworten nicht die tiefere Frage: Wo sind Sie über Ihr ganzes Geschäft hinweg solide, und wo verlassen Sie sich noch auf Glück oder auf zwischenmenschliches Vertrauen? Genau das leistet eine Cyber-Passport-Selbsteinschätzung. Sie zertifiziert nichts und verspricht keine Konformität: Sie zeigt Ihnen Frage für Frage den tatsächlichen Stand Ihrer Geschäftskontinuität und Ihres Datenschutzes und hilft Ihnen dann, Prioritäten zu setzen. Sie erhalten ein klares Lagebild, das Sie auch mit einem Kunden oder einer Prüfstelle teilen können, die fragt: «Wie schützen Sie meine Daten?».
Anfangen heisst nicht, alles auf einmal zu lösen. Es heisst zu wissen, wo Sie stehen, und in der richtigen Reihenfolge voranzugehen. Das ist machbar — hier ist der Ausgangspunkt.
